Acesso indevido a dados clínicos por profissional de
saúde: responsabilidade disciplinar e criminal – prescrição
1. Introdução
O acesso a
sistemas informáticos de saúde por profissionais habilitados levanta questões
particularmente sensíveis no cruzamento entre o direito disciplinar, o direito
penal informático e a proteção de dados pessoais. A facilidade técnica de
acesso, aliada à amplitude funcional de determinadas carreiras da área da
saúde, torna especialmente relevante a delimitação entre acesso legítimo e
acesso indevido.
O tema
aqui proposto parte da análise de um caso concreto decidido pelo Tribunal da
Relação de Évora,1 com o objetivo de discutir
duas questões centrais:
i) o regime de prescrição do procedimento disciplinar quando os factos são
suscetíveis de integrar ilícito criminal;
1. ii) a relevância da prova do elemento subjetivo (dolo
ou negligência) no acesso a dados clínicos por profissionais de saúde.
Defende-se
uma leitura crítica da solução adotada no acórdão maioritário, aproximando-nos
da posição expressa no voto de vencido, que dá relevo a questão da prova do
elemento subjetivo do tipo de crime em causa.
2. Síntese factual (consta do acórdão)
O caso
analisado respeita a uma enfermeira, contratada ao abrigo do Código do
Trabalho, que acedeu, durante o horário e local de trabalho, ao sistema
informático do SNS, consultando os registos clínicos de duas utentes com quem
mantinha uma relação pessoal indireta.
Os acessos
ocorreram em oito ocasiões, entre 30/10/2018 e 21/11/2018, sem que estivesse
demonstrada qualquer justificação clínica imediata. À data, as titulares dos
dados não haviam restringido o acesso aos seus registos, e a trabalhadora
exercia funções que, em abstrato, podiam implicar a consulta de dados clínicos
de diversos utentes.
Não ficou
provado que a enfermeira tivesse recebido formação específica em matéria de
proteção de dados, nem que tivesse antecedentes disciplinares.
O
procedimento disciplinar apenas foi instaurado em 28/11/2019.
3. Prescrição do procedimento disciplinar e ilícito
criminal
Nos termos
do artigo 329.º, n.º 1, do Código do Trabalho, o poder disciplinar
prescreve 2 um ano após a prática da
infração, salvo quando o facto constitua igualmente crime, caso em que se
aplica o prazo de prescrição penal.
O tribunal
entendeu que os acessos configuravam, em abstrato, o crime de acesso ilegítimo,
previsto no artigo 6.º da Lei do Cibercrime e, por essa via, aplica o prazo de
prescrição de cinco anos previsto no artigo 118.º, n.º 1, alínea c), do Código
Penal, independentemente do arquivamento do inquérito criminal.
Esta
solução assenta numa jurisprudência consolidada segundo a qual o alargamento do
prazo de prescrição disciplinar não depende do exercício da ação penal,
bastando a suscetibilidade abstrata dos factos integrarem ilícito criminal.
4. A centralidade da prova da “falta de justificação” na
decisão
O ponto
crítico da decisão reside, porém, na assunção de que os acessos ocorreram “sem
justificação clínica”, expressão de natureza conclusiva que não foi sustentada
em factos concretos suficientemente densos.
Antes de
mais, o que deve ser entendido como acesso ilegítimo? Considera-se que há
acesso ilegítimo quando o agente atua num quadro não justificado, visando
somente conhecer dados ou informações que não lhe estavam acessíveis (por via
das suas funções profissionais ou prévia autorização do titular dos dados),
agindo por motivos exclusivamente pessoais ou particulares.3
A
jurisprudência penal tem afirmado que o crime de acesso ilegítimo exige, pelo
menos, dolo genérico, consubstanciado na consciência de aceder a um sistema de
forma indevida, ou seja, sem sustentação legal. Ora, quando o agente dispõe de
credenciais válidas, exerce funções que implicam acesso alargado a dados e não
recebeu formação adequada em proteção de dados, a prova da inexistência de
justificação e do dolo torna-se particularmente exigente, isto é, difícil.
É
precisamente neste ponto que o voto de vencido4 assume
especial relevância, ao sublinhar que, face às funções exercidas, à organização
do sistema informático e à ausência de formação, não resultou provado de forma
inequívoca que os acessos tenham sido realizados com consciência da sua
ilicitude, podendo, quando muito, ser imputados a título de negligência.
Não
resulta da prova produzida de forma inequívoca que a trabalhadora, enfermeira
de profissão e em face das suas funções, tenha acedido aos registos clínicos
sem justificação». Acrescentando: «Dos factos provados resulta que o acesso só
pode ser imputado a título de negligência, donde resulta a falta do elemento
subjetivo, na forma de pelo menos dolo genérico. Os factos dados como provados
opõem-se à prova do dolo genérico e à falta de justificação (aliás, conclusiva
no caso concreto, atendendo às funções da trabalhadora, enfermeira).
Note-se
que, o crime de acesso indevido, nos termos do art.º 47.º n.º 1 da Lei da
proteção de dados Pessoais (Lei n.º 58/2019, de 08 de agosto), quem «sem
a devida autorização ou justificação, aceder, por qualquer modo, a dados
pessoais», quanto ao elemento subjetivo do tipo não exige qualquer intenção
específica (como seja o prejuízo ou a obtenção de benefício ilegítimo), ficando
preenchido com o dolo (genérico) de conhecimento e intenção de aceder a dados
pessoais, com a consciência da ilicitude (art.º 14.º do Código Penal).5 6
Não
estando demonstrado o elemento subjetivo exigido pelo tipo penal, falha o
pressuposto necessário ao alargamento do prazo de prescrição disciplinar,
devendo o procedimento considerar-se prescrito por ter ultrapassado o prazo de
um ano em sede de responsabilidade disciplinar.
A seguir
este raciocínio seria dada razão à trabalhadora por se verificar a prescrição
da infração disciplinar.
Este
raciocínio seria o mesmo no caso de trabalhador com contrato de trabalho em
funções públicas. 7
5. Responsabilidade individual versus responsabilidade
institucional
O caso
evidencia, ainda, um problema estrutural frequentemente desvalorizado: a
responsabilidade das instituições de saúde na definição de perfis de acesso, na
formação dos profissionais e na implementação de mecanismos eficazes de
prevenção e alerta.
A
imputação exclusiva da responsabilidade ao trabalhador, sem ponderar a
arquitetura permissiva do sistema, a ausência de formação e a inexistência de
restrições automáticas, contribui para consequências excessivamente
penalizantes para o trabalhador que acaba por ser responsabilizado que em
termos disciplinar quer em termos criminais tendo existido ou não falhas
atribuídas à entidade empregadora.
6. Considerações finais
A análise
do caso demonstra que a qualificação do acesso a dados clínicos como ilícito
criminal e por arrastamento, a aplicação de um prazo de prescrição disciplinar
mais alargado não pode prescindir de uma prova rigorosa da falta de
justificação funcional e do elemento subjetivo.
Em
contextos organizacionais complexos, como o sistema de saúde, a fronteira entre
acesso legítimo, acesso negligente e acesso doloso deve ser traçada com
especial cautela, sob pena de se desvirtuar o equilíbrio entre proteção de
dados, garantias dos trabalhadores e responsabilidade institucional.
A
seguir-se a linha de raciocínio de que não ficou provado o elemento subjetivo
do tipo de crime, a sanção disciplinar de cinco dias de suspensão que foi
aplicada à enfermeira não poderia ter sido aplicada, já que, a prescrição da
infração disciplinar ocorre escoado o prazo de um ano sobre a respetiva
prática.
__________________
1. TR Évora, de 09/06/2022, p. n.º 322/20.4T8BJA.E1.
2. A prescrição é uma forma de extinção de direitos (e
dos correspondentes deveres) em consequência do seu não exercício durante um
determinado período. Encontra-se referida no n.º 1 do artigo 298.º e regulada,
enquanto instituto geral, nos artigos 300.º a 327.º do Código Civil.
3. Acórdão da Relação de Guimarães de 12.04.2021 p. n.º
Proc. 19/19.8GCBRG.G1.
4. Declaração de Voto Vencido de Moisés Silva,
Desembargador do TR Évora, que faz parte integrante do Ac. TR Évora, de
09/06/2022, p. n.º 322/20.4T8BJA.E1.
5. Acórdão da Relação de Coimbra de 17.02.2016, p. n.º
2119/11.TALRA.C2.
6. Faz-se uma chamada de atenção quanto aos diplomas
citados no acórdão: L 12/2005, de 26/01 foi revogada pela L n.º 58/2019, de
08/08 e a L n.º 67/98, de 26/10 foi alterada pela L n.º 26/2016, de 22/08.
7. L n.º 35/2014, de 20/06, art. 178.º n.º 1.
Sem comentários:
Enviar um comentário